devsecops практики

Всё по теме «devsecops практики» на форуме Codeby.net. Обсуждений: 4. Разборы, инструменты и практика по информационной безопасности.
  1. Сергей Попов

    Статья Критическая уязвимость GitLab: detection и митигация

    Понедельник, 9:15 утра. В Wazuh прилетает алерт: серия неаутентифицированных POST-запросов на /api/graphql с нестандартной директивой @gl_introduced на self-managed GitLab-инстансе за nginx. За два дня до этого WatchTowr воспроизвели CVE-2026-19478 за минуты - хватило advisory и патч-diff. А...
    • Сергей Попов
    • Тема
    • ci/cd безопасность cve-2026-19478 cve-2026-85706 devsecops практики gitlab security advisory gitlab патч безопасности unauthenticated access gitlab защита devops инфраструктуры защита репозиториев gitlab исправление уязвимости gitlab уязвимость gitlab критическая
    • Ответы: 0
    • Раздел: Облачная безопасность и DevSecOps
  2. Сергей Попов

    Статья Application Security тестирование веб-приложений: от сканера к архитектурному пентесту

    Три месяца назад на архитектурном ревью финтех-проекта я наткнулся на штуку, которую хоть в учебник вставляй: JWT-токены валидировались на API Gateway, но ни один из четырёх backend-микросервисов не проверял подпись самостоятельно. Semgrep молчал - в коде формально всё чисто. DAST-сканер не...
    • Сергей Попов
    • Тема
    • application security тестирование веб-приложений appsec пентест devsecops практики owasp тестирование sast dast инструменты secure sdlc threat modeling веб-приложения архитектура безопасности веб-приложений
    • Ответы: 0
    • Раздел: Арсенал специалиста по ИБ
  3. Сергей Попов

    Статья Что такое DevSecOps: принципы, роли и место безопасности в цикле разработки

    На одном из проектов я настраивал CI/CD для финтех-стартапа. Пайплайн работал быстро - 12 минут от коммита до продакшена, разработчики были довольны. Через три месяца внешний аудитор нашёл в приложении захардкоженный API-ключ к платёжному шлюзу, уязвимую зависимость с известным CVE двухлетней...
  4. Сергей Попов

    Статья Shift-left на практике: внедрение SAST и DAST в CI/CD без срыва релизов

    Последние два года наша команда прикручивает security-пайплайны продуктовым командам - и в семи случаях из десяти застаём одну картину: кто-то добавил Bandit с дефолтным конфигом, получил 400+ алертов на первом прогоне и через неделю поставил allow_failure: true на все security-джобы. Формально...
    • Сергей Попов
    • Тема
    • devsecops практики security gates в pipeline semgrep gitlab ci shift-left безопасность автоматизация безопасности в pipeline внедрение sast dast в ci/cd динамическое тестирование безопасности статический анализ кода ci/cd
    • Ответы: 0
    • Раздел: Облачная безопасность и DevSecOps
Верх Низ
Назад